手机版
你好,游客 登录 注册
背景:
阅读新闻

CVE-2019-0211 - Apache HTTP服务组件中的升级权限漏洞

[日期:2019-04-03] 来源:Linux公社  作者:醉落红尘 [字体: ]

4月1日,开源软件Apache版本2.4.39发布,修复了编号为CVE-2019-0211的特权升级漏洞和编号为CVE-2019-0217的mod_auth_digest访问控制绕过漏洞。根据CVE-2019-0211分析,漏洞影响严重,攻击者编写的脚本(PHP,CGI,...)脚本可以直接获得目标系统的root权限,影响Apache 2.4.17到2.4.38版本*nix平台。

CVE-2019-0211的具体漏洞信息如下

“在Apache HTTP Server 2.4版本2.4.17至2.4.38中,使用MPM事件,工作者或prefork,在权限较低的子进程或线程(包括进程内脚本解释器执行的脚本)中执行的代码可以执行任意代码通过操纵记分板,父进程(通常是root)的权限。非Unix系统不受影响。“

CVE-2019-0217的具体漏洞信息如下

“在Apache HTTP Server 2.4版本2.4.38及更早版本中,当在线程服务器中运行时,mod_auth_digest中的竞争条件可能允许具有有效凭据的用户使用其他用户名进行身份验证,从而绕过已配置的访问控制限制。”

受影响的版本

  • CVE-2019-0211
    Apache HTTP Server 2.4.38, 2.4.37, 2.4.35, 2.4.34, 2.4.33, 2.4.30, 2.4.29, 2.4.28, 2.4.27, 2.4.26, 2.4.25, 2.4.23, 2.4.20, 2.4.18, 2.4.17
  • CVE-2019-0217
    2.4.38, 2.4.37, 2.4.35, 2.4.34, 2.4.33, 2.4.30, 2.4.29, 2.4.28, 2.4.27, 2.4.26, 2.4.25, 2.4.23, 2.4.20, 2.4.18, 2.4.17, 2.4.16, 2.4.12, 2.4.10, 2.4.9, 2.4.7, 2.4.6, 2.4.4, 2.4.3, 2.4.2, 2.4.1, 2.4.0

解决方法:

升级至 Apache httpd 2.4.39

Linux公社的RSS地址https://www.linuxidc.com/rssFeed.aspx

本文永久更新链接地址https://www.linuxidc.com/Linux/2019-04/157922.htm

linux
相关资讯       Apache漏洞  CVE-2019-0211 
本文评论   查看全部评论 (0)
表情: 表情 姓名: 字数

       

评论声明
  • 尊重网上道德,遵守中华人民共和国的各项有关法律法规
  • 承担一切因您的行为而直接或间接导致的民事或刑事法律责任
  • 本站管理人员有权保留或删除其管辖留言中的任意内容
  • 本站有权在网站内转载或引用您的评论
  • 参与本评论即表明您已经阅读并接受上述条款